북한 해커들, VS 코드 자동 실행 작업 악용하여 StoatWaffle 악성코드 배포

핵심 요약

북한 해커들이 'Contagious Interview' 캠페인의 일환으로 Microsoft Visual Studio Code(VS 코드)의 'tasks.json' 기능을 악용하여 'StoatWaffle' 악성코드를 배포하고 있습니다. 이 공격은 개발 환경의 자동 실행 작업을 활용하여 악성코드를 유포하는 비교적 새로운 전술로, 개발자 워크스테이션 및 소프트웨어 공급망에 대한 잠재적 위협을 제기합니다. IT 감사인은 개발 환경의 보안 통제, 특히 개발 도구의 설정 및 소프트웨어 배포 프로세스의 무결성 검증에 대한 심층적인 감사가 필요함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치개발자 워크스테이션 및 개발 서버에 대한 EDR(Endpoint Detection and Response) 솔루션의 탐지 및 차단 기능을 강화하고, VS 코드와 같은 개발 도구의 비정상적인 프로세스 실행, 파일 변경, 네트워크 통신을 모니터링하는 규칙을 고도화할 것을 권고함.
• ✔기술적 조치CI/CD 파이프라인에 코드 정적/동적 분석 도구(SAST/DAST)를 통합하여 'tasks.json'과 같은 설정 파일 내 잠재적 악성 스크립트 또는 비정상적인 명령 실행을 사전에 탐지하고 차단하는 자동화된 보안 게이트를 적용해야 함을 권고함.
• ✔관리적 조치개발자를 대상으로 VS 코드 'tasks.json'과 같은 개발 도구의 자동 실행 기능 악용 사례 및 사회공학적 공격 기법에 대한 최신 보안 인식 교육을 정기적으로 실시하고, 의심스러운 프로젝트나 파일에 대한 보고 절차를 강화할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위해 외부 라이브러리 및 오픈소스 컴포넌트 사용 시 보안 취약점 점검(SCA)을 의무화하고, 개발 환경에 대한 접근 통제 및 변경 관리 절차를 엄격히 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문